Så hamnar din selfie på Discord hos amerikanska myndigheter

Markus Andersson — Fri, 20 Feb 2026 20:02:10 +0000

Du har säkert sett det: du öppnar Discord, Reddit eller Roblox och plötsligt ombeds du ta en selfie för att "verifiera din ålder". Snabbt, smidigt, barnskydd. Du tänker inte så mycket mer på det. Det borde du. Företaget som hanterar din åldersverifiering heter Persona. Det är ett San Francisco-baserat identitetsverifieringsföretag som används av några av världens största plattformar — Discord, Reddit, Roblox, LinkedIn och ChatGPT — för att kontrollera att du är den du utger dig för att vara. Den 16 februari publicerade säkerhetsforskarna vmfunc, MDL och Dziurwa en omfattande rapport som fått stor uppmärksamhet. De hade hittat hela källkoden för Personas myndighetsdashboard — 53 megabyte fördelat på 2 456 filer — liggande öppet och oskyddade på en statlig FedRAMP-auktoriserad server. Ingen hackning krävdes. Ingen sårbarhet utnyttjades. Det rörde sig om en utvecklarversion med publikt tillgängliga källkodskartor (source maps) som aldrig stängts av — på en plattform som hanterar identitetsdata åt den amerikanska staten.

Vad koden avslöjar

Det som forskarna hittade i källkoden var inte en enkel ålderskontroll. Systemet innehåller 269 separata verifieringskontroller och bland dessa finns direktrapportering till FinCEN — det amerikanska finansdepartementets enhet mot penningtvätt och finansiella brott — samt till kanadensiska FINTRAC. I koden förekommer interna projektnamn som "SHADOW" och "LEGION". Selfies som laddas upp vid en rutinkontroll kan enligt rapporten lagras i biometriska ansiktsregister i upp till tre år. Systemet jämför automatiskt fotografier mot databaser med politiker och offentliga personer och genererar en likhetspoäng. En funktion i koden heter bokstavligen "SelfieSuspiciousEntityDetection" — men ingenstans definieras vad som gör ett ansikte "misstänkt".

Samma företag som tar ditt passfoto när du registrerar dig på ChatGPT driver också en myndighetsplattform som lämnar rapporter till FinCEN märkta med kodnamn från underrättelseprogram.

Så sammanfattar forskarna sina fynd. Oberoende säkerhetsexperter har bekräftat att forskningen framstår som trovärdig och Tanuki42, en säkerhetsforskare kopplad till incidenthanteringsgruppen SEAL911, konstaterar att de myndighetssystem som rapporten pekar ut existerar och med stor sannolikhet drivs som dedikerad infrastruktur av Persona.

Thiel-kopplingen

En detalj som väckt särskild uppmärksamhet är vem som finansierar Persona. Peter Thiels riskkapitalbolag Founders Fund ledde företagets Series D-runda på 200 miljoner dollar, efter att även ha lett Series C-rundan på 150 miljoner dollar. Det är samme Thiel som grundade Palantir — övervakningsföretaget som levererar analysverktyg till amerikanska ICE, CIA och en rad andra myndigheter. Det innebär inte att Thiel personligen styr Persona. Men att samma riskkapitalbolag som byggt sin portfölj på övervakningsteknik är den dominerande investeraren bakom ett system som samlar in hundratals miljoner användares biometriska data — via tjänster som Discord och Roblox som huvudsakligen används av ungdomar — väcker frågor.

VD:n svarar — delvis

Personas vd, Rick Song, har svarat på kritiken via X (tidigare Twitter), där han publicerade sin mejlkorrespondens med forskarna. Song hävdar att Persona "inte arbetar med någon federal myndighet idag". Han har dock ännu inte bemött de specifika fynden i källkoden — FinCEN-rapporteringen, kodnamnen eller den biometriska lagringen. "Jag är genuint besviken på hur allt detta har hanterats", skrev Song i ett numera raderat inlägg på X. Discord, som nyligen introducerade Persona-verifiering för brittiska användare, har redan backat och kallar implementeringen ett "experiment".

Vad du kan göra

Om du har använt Discord, Reddit, Roblox eller ChatGPT och blivit ombedd att verifiera din ålder via ett foto eller ID-handling har dina data sannolikt passerat genom Persona. Inom EU har du enligt GDPR rätt att begära information om vilka uppgifter som lagras om dig — och att kräva radering. Den rätten gäller även biometriska data. Persona erbjuder ett formulär för dataförfrågningar på sin webbplats. Brittiska Open Rights Group har krävt att användare ska kunna välja mellan flera verifieringsleverantörer, att icke-biometriska alternativ ska finnas tillgängliga, och att full transparens ska råda kring vem som behandlar data och hur. Nästa gång en plattform ber dig ta en selfie "för din säkerhet" — fråga dig vems säkerhet det egentligen handlar om, och om du redan skickat in ditt foto: kolla vilka rättigheter du har. Det är aldrig för sent att börja skydda det som är ditt.

Skapade integritetsverktyg för Bitcoin – nu sitter han i fängelse

Markus Andersson — Wed, 31 Dec 2025 13:05:45 +0000

Den amerikanske mjukvaruutvecklaren Keonne Rodriguez inställde sig i fängelse den 19 december för att avtjäna ett femårigt straff. Hans brott: att ha skapat en plånboksapp för Bitcoin som skyddar användarnas finansiella integritet. Keonne Rodriguez var medgrundare av Samourai Wallet, en mobilapplikation som hjälpte bitcoinanvändare att dölja sina transaktioner för utomstående. Till skillnad från traditionella så kallade "mixers" tog appen aldrig kontroll över användarnas pengar – användaren behöll alltid själv förvaringen av sina tillgångar. Den 24 april 2024 väcktes Rodriguez klockan fem på morgonen av sin skällande hund. Utanför hans hem stod 40–50, kanske fler, beväpnade FBI-agenter, pansarfordon och drönare. — De ropade i megafon: Keonne Rodriguez, kom ut med händerna i luften, du är gripen, berättade Rodriguez i en intervju strax före fängelsevistelsen.

Anklagades för penningtvätt

Rodriguez och hans medgrundare William Lonergan Hill åtalades för konspiration till penningtvätt och för att ha drivit en olicensierad penningöverföringsverksamhet. Åklagarna hävdade att mjukvaran hade använts för att tvätta pengar, bland annat av den nordkoreanska hackergruppen Lazarus. Men Rodriguez menar att anklagelserna saknar grund. Utvecklarna hade aldrig tillgång till användarnas pengar och kunde därför omöjligen tvätta dem. — Hur skulle jag kunna tvätta någons pengar? Jag hade aldrig tillgång till någons pengar, sade han. Det visade sig också att den amerikanska myndigheten FinCEN, som reglerar penningöverföringar, redan ett år före åtalet hade meddelat åklagarna att Samourai Wallet inte räknades som en finansiell institution enligt deras regler – just eftersom appen aldrig tog hand om användarnas tillgångar. Trots detta valde Södra distriktet i New York att åtala utvecklarna och höll informationen hemlig för försvaret i över ett år.

Tonight is the last time I will sleep in my own bed next to my loving wife. For the next 5 years I will be housed in a federal prison at taxpayer expense for a "crime" without a victim. Just one of many victims of lawfare perpetrated by a weaponized Biden DOJ where truth and…
— Keonne Rodriguez (@keonne) December 19, 2025

Tvingades acceptera erkännande

Inför valet mellan att gå till rättegång och riskera 25 års fängelse, eller att erkänna och få fem år, valde Rodriguez och Hill det senare. De hade redan betalat 6,4 miljoner dollar i förverkade tillgångar och hade dragit på sig en skuldsättning på 2,5 miljoner dollar. En rättegång skulle ha kostat ytterligare fyra miljoner dollar – pengar de inte hade. Rodriguez beskrev situationen som att gå mot en motståndare med obegränsade resurser och arbetstimmar, medan han själv saknade möjlighet att försvara sig på lika villkor. Domaren nekade dem också möjligheten att tillbringa julen med sina familjer. Rodriguez fördes den 19 december till Metropolitan Detention Center i Brooklyn, ett fängelse med ökänt dåliga förhållanden. Han fick åtminstone fira Thanksgiving med familjen innan fängelsevistelsen började.

Del av ett större mönster

Fallet mot Samourai Wallet är inte isolerat. Runt om i världen åtalas och fängslas utvecklare av integritetsskyddande teknik. Roman Storm, Roman Sterlingov och aktivisten Ola Bini i Ecuador är andra exempel. Enligt Rodriguez ser åklagarna integritet som ett hinder för sitt uppdrag snarare än som en legitim rättighet. Kritiker menar att myndigheternas agerande skapar en avskräckande effekt som kan leda till att färre utvecklare vågar bygga verktyg som skyddar vanliga människors integritet. Eftersom Samourai Wallets kod var öppen källkod har en anonym grupp redan återlanserat tekniken under namnet Ashigaru. — Det är verkligen ett krig mot integritet. Folk måste förstå det, sade Rodriguez. För den som vill stödja Rodriguez och Hill finns en namninsamling för benådning på webbplatsen billandkeonne.org.

FinCEN – Nya Dagbladet